Иностранный закон или грузинский: что регулирует обработку данных в Грузии
Закон Калифорнии о конфиденциальности потребителей — это закон штата США, и он не регулирует обработку данных на территории Грузии. Для обработки, связанной с Грузией, — грузинского сервиса, страницы, ориентированной на грузинский рынок, либо сбора данных о потребителях с использованием технических средств, находящихся в Грузии, — действует один закон: закон Грузии «О защите персональных данных», построенный на европейской модели и требующий предварительного основания обработки, в том числе согласия субъекта. Калифорнийский подход — отказ от продажи данных по умолчанию с возможностью «опт-аута» — по грузинскому закону недостаточен: здесь согласие должно быть активным волеизъявлением, выраженным для конкретной цели. На этой странице мы разъясняем, чего требует грузинский закон и как выглядят права потребителя в его рамках. Калифорнийский закон может служить лишь ориентиром для сравнения, но не эталоном соответствия.
Сфера действия закона: кого он охватывает
Закон распространяется на автоматизированную и полуавтоматизированную обработку данных на территории Грузии, а также на неавтоматизированную обработку данных, которые являются частью картотеки или подлежат включению в неё. Территориальный критерий особенно важен для компаний, зарегистрированных за рубежом: закон охватывает и обработку, осуществляемую зарегистрированным вне Грузии ответственным за обработку лицом с использованием технических средств, находящихся в Грузии, кроме случая, когда эти средства используются исключительно для транзита данных. Вместе с тем закон не распространяется на обработку данных физическим лицом для личных или семейных целей; на обработку в целях государственной безопасности, обороны, разведывательной и контрразведывательной деятельности; на обработку в целях судопроизводства; на обработку средств массовой информации в целях информирования общества; на обработку в академических, художественных и литературных целях.
Основания обработки и акцент на согласии
Обработка допустима лишь при наличии одного из предусмотренных законом оснований: заявленное субъектом согласие на одну или несколько конкретных целей; исполнение обязательства по договору с субъектом либо принятие шагов по его требованию до заключения договора; обработка, предусмотренная законом; исполнение возложенных законодательством Грузии обязанностей; общедоступность данных по закону или по воле субъекта; защита жизненно важных интересов; защита значимого публичного интереса; выполнение задач в сфере публичного интереса, определённых законодательством Грузии; защита законных интересов ответственного за обработку лица или третьего лица — кроме случаев, когда превалирует интерес защиты прав субъекта; рассмотрение заявления субъекта. Рядом с перечнем стоит одно из самых жёстких требований закона: обязанность обоснования правового основания возлагается само на ответственное за обработку лицо. На практике это значит, что для каждой цели и каждого потока данных компания должна знать — и уметь документально подтвердить — основание, на котором стоит её обработка.
Права потребителя: информация и доступ
Субъект данных вправе потребовать от ответственного лица подтверждения, обрабатываются ли данные о нём, и — соответственно запросу и безвозмездно — получить подробную информацию: какие данные обрабатываются, основание и цель обработки, источник сбора, срок хранения либо критерии его определения, свои права, правовые основания и гарантии при передаче в другое государство или международную организацию, личность или категории получателей, а также логику решения, принятого в результате автоматизированной обработки, включая профилирование. Информация предоставляется не позднее 10 рабочих дней с момента запроса; в особых случаях, при надлежащем обосновании, этот срок может быть продлён ещё не более чем на 10 рабочих дней, о чём субъект уведомляется незамедлительно. Субъект вправе также выбрать форму предоставления информации, если иное не предусмотрено законодательством Грузии.
Стирание, прекращение обработки и отзыв согласия
Субъект вправе потребовать прекращения обработки данных о нём — включая профилирование — а также удаления либо уничтожения данных. Не позднее 10 рабочих дней с момента запроса обработка должна быть прекращена либо данные удалены или уничтожены, либо субъекту сообщается основание отказа с разъяснением порядка обжалования. Отказ допускается только в установленных законом случаях: существует иное основание обработки; данные нужны для правового требования или возражения по иску; необходима свобода выражения или информации; обработка служит целям архивирования, научных, исторических исследований или статистики в публичных интересах. При обработке данных в общедоступной форме субъект может дополнительно требовать ограничения доступности и удаления копий либо любой интернет-ссылки, связанной с данными, а ответственное лицо обязано уведомить всех получателей, которые в свою очередь должны удалить свои копии. Согласие может быть отозвано в любое время без объяснений, в той же форме, в какой было дано, — и тогда обработка прекращается либо данные удаляются в течение 10 рабочих дней, если иного основания не существует. До отзыва субъект вправе запросить информацию о возможных последствиях.
Куда жаловаться: надзорный орган и суд
При нарушении прав либо установленных законом правил субъект вправе обратиться в Государственную службу аудита, суд или вышестоящий административный орган. У Государственной службы аудита можно потребовать принятия решения о блокировке данных до завершения рассмотрения заявления, а решение Службы обжалуется в суде в порядке и сроки, установленные законодательством Грузии. Именно этот механизм обеспечивает действие грузинского закона — а не обращение к зарубежному регулятору, который не станет рассматривать обработку, подчинённую грузинскому праву.
Наша услуга
Если ваш бизнес обслуживает грузинский рынок или использует находящиеся в Грузии технические средства, мы поможем перейти на грузинские рельсы: определим основание каждой операции обработки, упорядочим процедуры ответов на запросы субъектов и подготовим компанию к взаимодействию с надзорным органом. Обратитесь за консультацией — мы оценим вашу ситуацию через призму грузинского закона, а не иностранного статута.